Générer et installer des certificats SSL dans Cloud Exchange

Lors de la première installation, Cloud Exchange génère automatiquement un certificat SSL auto-signé ; les connexions à l’interface web sont donc chiffrées via HTTPS par défaut. Vous pouvez remplacer ce certificat auto-signé par un certificat fourni par votre organisation.

Il y a deux dossiers liés au SSL créés sur le système de fichiers : ssl_certs et ca_certs.

Si vous souhaitez ajouter vos propres certificats SSL, vous pouvez les ajouter au répertoire ta_cloud_exchange/data/ssl_certs, ou /opt/cloudexchange/cloudexchange/data/ssl_certs dans la version VM. Le nom du fichier de certificat doit être cte_cert.crt et cte_cert_key.key. Les étapes ci-dessous expliquent comment procéder.

Le répertoire ca_certs est utilisé, par exemple, lorsque vous configurez un plugin pour un produit sur site (comme MISP, QRadar, etc.) qui possède un certificat SSL auto-signé émis par votre organisation. Dans ce cas, vous devez placer vos certificats CA dans le répertoire ca_certs pour les ajouter à la chaîne de confiance.

Ensuite, exécutez le script d’installation en utilisant la commande sudo ./setup afin que les autorisations de fichier appropriées soient obtenues par les certificats que vous avez ajoutés dans le répertoire ca_certs.

Standalone Deployment

Lorsque vous avez le(s) certificat(s) que vous souhaitez utiliser pour vous connecter à Cloud Exchange, suivez ces étapes pour installer votre (vos) certificat(s) privé(s) afin d'accéder à Cloud Exchange en toute sécurité.

Connectez-vous à votre hôte Cloud Exchange via CLI.
Accédez au répertoire en fonction de votre type de déploiement :
- Déploiement conteneurisé :
```
$ cd ta_cloud_exchange/
```
- Déploiement de CE en tant que VM :
```
$ cd /opt/cloudexchange/cloudexchange/
```
Exécutez la commande $ sudo ./stop.
Accédez au répertoire contenant les certificats :
```
$ cd data/ssl_certs
```
Supprimez les certificats existants à l’aide de ces commandes :
```
$ sudo rm -rf cte_cert.crt
$ sudo rm -rf cte_cert_key.key
```
Une fois le certificat SSL existant supprimé, vous pouvez installer votre certificat SSL privé. Copiez les New certificats dans data/ssl_certs selon votre type de déploiement :
- Déploiement conteneurisé :
```
$ cd ta_cloud_exchange/data/ssl_certs
$ sudo cp -r <Path_of_SSL_Certificate> .
```
- Déploiement de CE en tant que VM :
```
$ cd /opt/cloudexchange/cloudexchange/data/ssl_certs
$ sudo cp -r <Path_of_SSL_Certificate> .
```
Redémarrez Cloud Exchange en utilisant la commande $ sudo ./start.

HA Deployment

N’exécutez pas ./setup sur un nœud lors du remplacement de certificats dans un déploiement HA. Ne modifiez pas les fichiers du répertoire mongodb_rabbitmq_certs.

Arrêtez les nœuds Cloud Exchange. Arrêtez d’abord les nœuds secondaires, puis le nœud principal.
- Si vous utilisez Cloud Exchange v6.0.0 ou une version ultérieure, vous pouvez arrêter les nœuds depuis l’interface utilisateur. Allez sur Settings > General > Node Configurations, arrêtez d’abord les nœuds secondaires, puis arrêtez le nœud primaire.
- Sinon, connectez-vous à chaque nœud via l’interface de ligne de commande, accédez au répertoire ta_cloud_exchange/ ou /opt/cloudexchange/cloudexchange/ et exécutez la commande $ sudo ./stop. Exécutez-la sur chaque nœud secondaire en premier, puis sur le nœud primaire.
Connectez-vous à chaque nœud Cloud Exchange via l’interface de ligne de commande et accédez au répertoire dans lequel Cloud Exchange est installé, en fonction du type de déploiement :
- Déploiement conteneurisé :
```
$ cd ta_cloud_exchange/
```
- Déploiement de CE en tant que VM :
```
$ cd /opt/cloudexchange/cloudexchange/
```

Sur le nœud principal :

Supprimez les certificats existants du répertoire partagé et du répertoire local à l’aide de ces commandes :

$ sudo rm -f /opt/shared/data/config/ssl_certs/cte_cert.crt /opt/shared/data/config/ssl_certs/cte_cert_key.key
$ sudo rm -f data/ssl_certs/cte_cert.crt data/ssl_certs/cte_cert_key.key

Copiez les New certificats dans les deux répertoires :

$ sudo cp <Path_of_SSL_Certificate>/cte_cert.crt <Path_of_SSL_Certificate>/cte_cert_key.key /opt/shared/data/config/ssl_certs/
$ sudo cp <Path_of_SSL_Certificate>/cte_cert.crt <Path_of_SSL_Certificate>/cte_cert_key.key data/ssl_certs/

Définissez les autorisations pour le répertoire partagé :

$ sudo chown 1001:1001 /opt/shared/data/config/ssl_certs
$ sudo chmod 755 /opt/shared/data/config/ssl_certs
$ sudo chmod 644 /opt/shared/data/config/ssl_certs/cte_cert.crt
$ sudo chmod 644 /opt/shared/data/config/ssl_certs/cte_cert_key.key

Définissez les autorisations pour le répertoire local :

$ sudo chown -R 1001:1001 data/ssl_certs
$ sudo chmod -R 755 data/ssl_certs
$ sudo find data/ssl_certs -type f -exec chmod 644 {} +
$ sudo chmod 600 data/ssl_certs/cte_cert_key.key

Démarrez le nœud primaire à l’aide de la commande $ sudo ./start et vérifiez que l’interface utilisateur Cloud Exchange est accessible avec le New certificat.

Sur chaque nœud secondaire, un à la fois :

Copiez les certificats du répertoire partagé vers le répertoire local :

$ sudo rm -f data/ssl_certs/cte_cert.crt data/ssl_certs/cte_cert_key.key
$ sudo cp /opt/shared/data/config/ssl_certs/cte_cert.crt /opt/shared/data/config/ssl_certs/cte_cert_key.key data/ssl_certs/

Définissez les permissions pour le répertoire local à l'aide des commandes :

$ sudo chown -R 1001:1001 data/ssl_certs
$ sudo chmod -R 755 data/ssl_certs
$ sudo find data/ssl_certs -type f -exec chmod 644 {} +
$ sudo chmod 600 data/ssl_certs/cte_cert_key.key

Démarrez Cloud Exchange en utilisant la commande $ sudo ./start.

Dans l'interface utilisateur de Cloud Exchange, accédez à Settings > General > Node Configurations et vérifiez que tous les nœuds sont listés.